IT-sikkerhedsramme for EnergyDataDK (ISO27001)

Introduktion

PowerLabDK/EnergyDataDK har lagt DTU’s IT-sikkerhedspolitikker og DTU Vind og Energisystemer’s retningslinjer til grundlag for sit arbejde med informationssikkerhed. DTU’s overordnede ITsikkerhedspolitikker anvender ISO standard ISO27001 som grundlag og IT-sikkerhedsarbejdet for EnergyDataDK afspejler derfor også dette. DTU Security Operation fastlægger de overordnede mål med IT Sikkerhedsarbejdet, definerer en række formelle roller og deres ansvarsområder, begreber samt fastlægger en klassifikationsskala mv, mens DTU’s institutter har en implementerende samt vejledende rolle.

Sidst opdateret: 26. august 2026

Emnespecifikke it-sikkerhedspolitikker

DTU har besluttet at implementere sikkerhedsforanstaltninger – som beskrevet i ISO 27001, bilag A, og nærmere specificeret i ISO 27002 – gennem en række emnespecifikke it-sikkerhedspolitikker og har fastsat krav, der skal opfyldes for at sikre overholdelse af DTU’s informationssikkerhedspolitik.

For EnergyDataDK er en række emnespecifikke politikker blevet identificeret som relevante for overholdelse af reglerne. Disse omfatter:

  • Klassificering og styring
  • Identitet og adgangsstyring
  • Systemdrift
  • Logning og overvågning
  • Sikkerhedskopiering (”Backup & Restore”)
  • Software vedligehold (”Patch Management”)
  • Fortsat drift
24 H Information Classification and Governance Identity and Access Management System Operations Logging and Monitoring Backup and Restore Patch Management Business Continuity and Service Availability Informations- klassifikation og styring Identitets- og adgangsstyring Systemdrift Logning og overvågning Backup og gendannelse Patch- håndtering Forretnings- kontinuitet og service tilgængelighed

Henvisning til ISO 27002-kontroller

De krav, der følger af de fastlagte emnespecifikke politikker, omfatter samlet set følgende ISO 27002-kontroller for EnergyDataDK:

Klassifikation og håndtering:

  • Informationssikkerhed i projekter
  • Oversigt over information og understøttende aktiver
  • Acceptabel anvendelse af information og understøttende aktiver
  • Informationsmærkning
  • Informationsoverførsel
  • Bevidsthed, uddannelse og træning inden for informationssikkerhed
  • Forebyggelse af datalæk

Identitets- og adgangsstyring:

  • Adskillelse af funktioner
  • Tilbagelevering af aktiver
  • Adgangsstyring
  • Identitetsstyring
  • Oplysninger om godkendelse
  • Adgangsrettigheder
  • Ansvar i forbindelse med ophør eller ændring af ansættelsesforholdet
  • Privilegerede adgangsrettigheder
  • Begrænset adgang til information
  • Sikker autentificering
  • Brug af privilegerede hjælpeprogrammer

Systemdrift

  • Dokumenterede driftsprocedurer
  • Kapacitetsstyring
  • Konfigurationsstyring
  • Sletning af oplysninger
  • Ursynkronisering
  • Brug af privilegerede hjælpeprogrammer
  • Adskillelse af udviklings-, test- og produktionsmiljøer
  • Forandringsledelse
  • Beskyttelse af informationssystemer under revision

Logning

  • Logning
  • Aktivitetsovervågning

Sikkerhedskopiering og gendannelse

  • Sikkerhedskopiering af oplysninger

Patch-håndtering

  • Håndtering af tekniske sårbarheder

Kontinuerlig drift

  • Informationssikkerhed under driftsforstyrrelser
  • IKT-beredskab til sikring af driftskontinuitet
  • Forsyningssikkerhed
  • Kapacitetsstyring
  • Redundans af informationsbehandlingsfaciliteter

Ansvar, overholdelse af regler, kontrol og revision

Overholdelse af de emnespecifikke it-sikkerhedspolitikker påhviler primært ejeren af ​​informationsaktivet eller systemet. Dokumenter udarbejdet i forbindelse med overholdelsesvurderingen for EnergyDataDK dokumenterer, hvordan de relevante emnespecifikke it-sikkerhedspolitikker er blevet implementeret. For EnergyDataDK findes der desuden tre procedurebeskrivelser, der uddyber den praktiske implementering af de relevante politikker. Disse omfatter:
  1. Procedure for sikkerhedskopiering og gendannelse
  2. Identitets- og adgangsstyring
  3. Drift og vedligeholdelse
DTU anvender ISMS-systemet ‘Control Manager’ til at styre og dokumentere opdatering af politikker, procedurebeskrivelser og periodiske kontroller. EnergyDataDK er registreret som et system under DTU Wind and Energy Systems og indgår dermed i denne fælles styringsproces. Intern kontrol, revision og den generelle overholdelse af DTU’s it-sikkerhedspolitik er desuden integreret i DTU’s overordnede processer for risiko- og sårbarhedsvurdering.

GDPR, NIS 2 samt øvrige DTU-politikker og retningslinjer

Ved udarbejdelsen af DTU’s IT-sikkerhedspolitik er en række relevante aktører på DTU blevet inddraget. Formålet har været at sikre, at politikken så vidt muligt også adresserer krav og behov i DTU’s øvrige politikker og retningslinjer, herunder persondatapolitik (GDPR) og NIS 2.

DTU baserer for nuværende sin implementering af NIS 2-direktivet på nævnte DTU ITsikkerhedspolitik og det tilhørende ledelsessystem for informationssikkerhed (ISMS).

DTU’s IT-sikkerhedspolitik udgør dog ikke en garanti for, at øvrige DTU-politikker efterleves og EnergyDataDK arbejder derfor særskilt med efterlevelsen af øvrige politikker inkl. lovmæssige krav, herunder GDPR og Dataforordningen.

Du kan downloade dette dokument her: